无公网访问权限的Jenkins触发Azure DevOps Pipeline方案咨询

不需要将Jenkins主机配置为公网可访问，该集成需求完全可以落地，以下3种方案均符合零公网入站暴露的安全要求，可根据现有环境改造成本选择：

方案1：内网打通服务连接，复用原有对接逻辑 #

如果你的Jenkins和Azure资源同属一个Azure租户VNet，不需要改动现有任务逻辑，直接打通内网连通性即可：

• 为Azure DevOps配置同VNet接入的私有代理池，或开启Azure DevOps私有端点访问能力，让DevOps侧的服务请求全程走Azure内网到达Jenkins主机
• 在Jenkins主机所在子网的网络安全组中，仅放通Azure DevOps内网服务网段到Jenkins服务端口（默认8080）的入站规则，全程流量不经过公网
• 连通性验证通过后，你最初计划的service connection对接、构建完成自动触发部署Pipeline的流程可以直接落地，不需要调整原有配置

方案2：Jenkins主动调用API触发，改造成本最低 #

该方案将连通方向反转，完全不需要Azure DevOps侧主动访问Jenkins，仅需要Jenkins主机放通到Azure DevOps服务的443端口出站权限即可（绝大多数企业环境默认允许该类出站请求，不需要额外走安全审批）：

• 在Azure DevOps侧生成具备Pipeline执行权限的个人访问令牌（PAT），将令牌存储到Jenkins的凭据管理模块，禁止明文硬编码在脚本中
• 在Jenkins构建任务的后置步骤中，添加脚本执行步骤，主动调用Azure DevOps Pipeline运行接口触发部署，同时可传入构建号、版本标识等自定义参数
• 将Azure DevOps Pipeline配置为接受API触发，在Pipeline开头添加参数接收逻辑即可

接口调用示例脚本如下：

curl -X POST \
  -u :${STORED_AZDO_PAT} \
  -H "Content-Type: application/json" \
  "https://dev.azure.com/{组织名}/{项目名}/_apis/pipelines/{目标PipelineID}/runs?api-version=7.1-preview.1" \
  -d '{"variables": {"jenkins_build_id": {"value": "'${BUILD_NUMBER}'"}, "jenkins_build_version": {"value": "'${BUILD_VERSION}'"}}}'

方案3：Blob存储事件触发，适配你已调研的产物上传路径 #

你之前评估的Jenkins上传构建产物到Blob存储的路径完全可落地，不需要额外做网络打通：

• 调整Jenkins侧的Blob上传规则，每次构建的产物存到独立路径下，例如builds/${BUILD_NUMBER}/，避免不同构建版本的产物互相覆盖
• 为目标Blob存储账户配置事件网格订阅，将「Blob创建完成」作为触发事件，事件终点直接绑定目标Azure DevOps Pipeline，配置触发时自动传递Blob路径、构建ID等参数
• 在Azure DevOps Pipeline的起始步骤中，通过内置的Azure Blob下载任务或Azure CLI命令，从触发参数携带的Blob路径拉取对应构建产物，后续执行正常部署流程即可

注意：以上所有方案均无Jenkins公网入站暴露风险，其中方案2、方案3甚至不需要做VNet层面的内网打通，仅需要Jenkins具备公网443端口出站能力即可，完全满足常规企业安全管控要求，不存在集成无法落地的问题。

内容的提问来源于stack exchange，提问作者Vetements